Retos de cumplimiento ante la reciente aprobación del Reglamento Europeo de Protección de datos

La adopción del nuevo régimen europeo de protección de datos responde fundamentalmente a los avances tecnológicos experimentados en los últimos años en el contexto de la sociedad de la información y, entre otros, el auge de nuevos modelos de negocio y medios tecnológicos, desde el progresivo desarrollo de las tecnologías wearables (dispositivos “ponibles” tales como pulseras, relojes inteligentes, ropa que recoge información del propio cuerpo, etc.), la tecnología de Internet de las Cosas (Internet of Things o IoT, referida a la interconexión a Internet de los objetos cotidianos como la lavadora, el frigorífico o la televisión), la progresiva implantación de soluciones de cruzamiento masivo de datos o Big Data, el tratamiento de datos biométricos, la geolocalización, las nuevas fronteras en el ámbito de la ciberseguridad, el fingerprinting, o la tecnología de reconocimiento facial en redes sociales: tecnologías que generan, en definitiva, nuevos riesgos que pueden tener consecuencias con carácter simultáneo en distintas localizaciones, lo que da valor al desarrollo de este marco unificado a nivel europeo.

Las empresas se encuentran en un momento inmejorable para ir preparando el terreno para algunos de los cambios significativos que se van a operar en esta materia una vez el Reglamento entre en vigor en 2018, emprendiendo medidas destinadas a implantar entre los empleados y/o usuarios una mayor cultura de la privacidad y la protección de los datos.

Algunas de las cuestiones que aborda este nuevo Reglamento, y que suponen claros retos para la normal actividad de las empresas son, principalmente, las siguientes:

Todo apunta a que el compromiso que las empresas y organizaciones seguirán a futuro en materia de protección de datos tiende a la adopción de medidas cada vez más elaboradas y adecuadas a los riesgos asociados, una mejor gestión de crisis e incidencias, así como la implementación de nuevos mecanismos que garanticen la seguridad, confidencialidad e integridad de los datos personales, así como de toda aquella información asociada a los mismos.

Por ello, a la hora de marcar el camino que nos conducirá a la aplicación del nuevo Reglamento en nuestro negocio, es importante poder garantizar el cumplimiento normativo a día de hoy, e ir adoptando progresivamente estrategias y métodos que permitan garantizar el desempeño de nuestra actividad sobre la base de unas buenas prácticas en el tratamiento de los datos de carácter personal de nuestros clientes.

• La creación de la figura del DPO (Data Privacy Officer). La gran mayoría de empresas y organizaciones estarán obligadas a nombrar un experto que controle, audite y certifique el cumplimiento de la normativa relativa al tratamiento de datos en la empresa. Este responsable será designado de acuerdo con sus conocimientos especializados y su práctica en la materia, pudiendo formar parte de la plantilla de la empresa, o desempeñar sus funciones desde fuera de la misma en el marco de un contrato de prestación de servicios.
  
   
• La obligación de realizar evaluaciones de impacto en materia de protección de datos y de adoptar las medidas concretas para determinar los riesgos que puede conllevar un determinado tratamiento de datos para la privacidad de los afectados.
  
   
• El derecho a la portabilidad de los datos y el “derecho al olvido”. El Reglamento dispensa el reconocimiento a los titulares de los datos de una mayor capacidad de disposición sobre su información personal, especialmente en el entorno online. Esto se traduce en la exigencia para las empresas de velar por la continua actualización de los datos que tratan, así como por la transparencia en sus tratamientos, y el desarrollo de instrumentos que permitan dar cumplimiento a las solicitudes de los titulares de los datos en el marco de una gestión mucho más intensa y flexible de su información personal.
  
   
• Aplicación del concepto de “protección de datos desde el diseño”. El Reglamento obligará a las empresas a adoptar, con carácter previo al tratamiento y durante el mismo, aquellas medidas técnicas y organizativas que resulten necesarias para evitar el acceso y divulgación de la información, incluyendo aquellas referentes a sistemas de información, diseño e infraestructura de red y la implantación de códigos de buenas prácticas y estrategias de cumplimiento normativo en las empresas.
  
   
• Ampliación del alcance y cuantía de las sanciones. El Reglamento establecerá un marco proporcional y armonizado a los diferentes regímenes sancionadores en protección de datos de los países de la Unión Europea. Además, en determinadas circunstancias de especial gravedad podrán imponerse multas que consistan en un porcentaje de la facturación global de la empresa (hasta un 4%).
  
   
•